SPF, DKIM i DMARC w Google Workspace: konfiguracja krok po kroku

1. SPF

Rekord ustawiasz u dostawcy DNS domeny (rejestrator, hosting, Cloudflare), nie w konsoli Google. Typ TXT, host @ dla domeny głównej:

v=spf1 include:_spf.google.com ~all

Jeśli pocztę z Twoją domeną wysyła też inna usługa, dopisz ją do tego samego rekordu, np. v=spf1 include:_spf.google.com include:amazonses.com ~all. Domena może mieć tylko jeden rekord SPF. Google zaleca końcówkę ~all; gdy masz pewność, że lista nadawców jest pełna, możesz przejść na -all.

2. DKIM

1. W konsoli administratora otwórz Aplikacje, Google Workspace, Gmail, Uwierzytelniaj pocztę e-mail. Potrzebne są uprawnienia super administratora.
2. Wybierz domenę i kliknij Wygeneruj nowy rekord. Długość klucza 2048 bitów, prefiks selektora zostaw domyślny: google.
3. U dostawcy DNS dodaj rekord TXT o nazwie google._domainkey i wartości skopiowanej z konsoli (zaczyna się od v=DKIM1; k=rsa; p=).
4. Dopiero po dodaniu rekordu wróć do konsoli i kliknij Rozpocznij uwierzytelnianie. Status powinien zmienić się na uwierzytelnianie poczty z DKIM.

Pułapki opisane przez Google:

• Klucz 2048 bitów jest dłuższy niż 255 znaków, a tyle przyjmuje jeden ciąg w rekordzie TXT. Jeśli panel DNS odrzuca wartość, podziel ją na kilka ciągów w cudzysłowach wpisanych jeden po drugim albo wygeneruj klucz 1024 bity.
• Zaraz po włączeniu Gmaila dla domeny wygenerowanie klucza może się nie udać; Google podaje, że trzeba odczekać 24-72 godziny.
• Komunikat o konieczności aktualizacji DNS potrafi wisieć do 48 godzin po dodaniu poprawnego rekordu.
• Wiadomość wysłana do samego siebie nie pokaże, czy DKIM działa. Wyślij ją na inne konto Gmail i sprawdź w oryginale wiadomości wynik DKIM=pass.

3. DMARC

W konsoli Google nic nie włączasz. U dostawcy DNS dodaj rekord TXT o nazwie _dmarc:

v=DMARC1; p=none; rua=mailto:[email protected]

Google zaleca start od p=none i odczekanie 48 godzin po konfiguracji SPF i DKIM. Część paneli DNS sama dopisuje nazwę domeny do pola hosta; po zapisaniu sprawdź, czy rekord nie nazywa się _dmarc.twojafirma.pl.twojafirma.pl. Gmail nie wysyła raportów szczegółowych (ruf), tylko zbiorcze (rua). Kolejne kroki wdrożenia opisuje poradnik DMARC.

Sprawdź wynik

Po zmianach sprawdź rekordy narzędziem SPF i narzędziem DMARC albo zrób pełny audyt domeny niżej. Pełny audyt rozpoznaje Google Workspace po rekordach MX i szuka klucza DKIM pod selektorem google.

Źródło: dokumentacja Google Workspace (konfiguracja SPF, DKIM i DMARC, strony zaktualizowane w październiku 2026): DKIM, SPF, DMARC. Nazwy pozycji menu mogą się zmienić.